JP2008028720A - 送信元ｉｐアドレス詐称ｉｐパケットを制御可能なｉｐネットワーク装置および送信元ｉｐアドレス詐称ｉｐパケット制御方法 - Google Patents

Abstract

【課題】
ＩＰネットワーク機器の効率的な転送機能を確保しつつ、送信元を詐称した可能性のあるＩＰパケットに対して柔軟な制御を可能とするネットワークセキュリティ技術を提供する。
【解決手段】
ＩＰネットワーク装置間でルーティング情報を交換するためのメッセージに新たな付加情報を追加し、そこに配下の端末の認証したＩＰアドレスとそのＩＰアドレスが詐称された場合の処理を記述して隣接するＩＰネットワーク装置に送出する。受け取った側では、ネットワークアドレスとインタフェースに加え、認証されたＩＰアドレスおよび詐称時の処理を保持する。ＩＰパケットを受信した場合は、送信元ＩＰアドレスを抽出して、保持するインタフェースと認証されたＩＰアドレスとの組と照合し、正当性を判別する。詐称疑惑がある場合は、そのＩＰアドレスに対応づけて保持されている詐称時処理を行う。
【選択図】 図１

Description

本発明は、ネットワークセキュリティの技術に関する。特に、送信元ＩＰ（Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）アドレスを詐称したトラヒックによる、ネットワークリソース及びネットワーク機器へのＤｏＳ（Ｄｅｎｉａｌ ｏｆ Ｓｅｒｖｉｃｅ Ａｔｔａｃｋ；サービス妨害）攻撃およびＤＤｏＳ（Ｄｉｓｔｒｉｂｕｔｅｄ Ｄｏｓ；分散サービス妨害）攻撃を防御する技術に関する。

インターネット上で行われているような通信プロトコルＴＣＰ／ＩＰを利用した通信は、ＩＰパケットの送受信により行われる。ＩＰパケットには、宛先ＩＰアドレス情報と送信元ＩＰアドレス情報とが格納され、インターネット等のネットワークでＩＰパケットの中継を行うルータ等のＩＰネットワーク機器は、宛先ＩＰアドレス情報を元に、ＩＰパケットの転送を実施している。

一般に、ルータ等のＩＰネットワーク機器は、ＩＰパケットの送信元ＩＰアドレスの正当性を確認することなく、ＩＰパケットの転送を実施している。インターネットに接続している悪意あるユーザがＤｏＳ攻撃やＤＤｏＳ攻撃を行う際には、このようなインターネットにおけるＩＰパケットの転送特性を悪用して送信元ＩＰアドレスを詐称することが多い。

近年、送信元ＩＰアドレスを詐称したトラヒック（送信元ＩＰアドレス詐称トラヒック）の制御技術として、ｕＲＰＦ（Ｕｎｉｃａｓｔ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ）が注目されている。これは、イングレスフィルタリング（Ｉｎｇｒｅｓｓ Ｆｉｌｔｅｒｉｎｇ）と呼ばれる経路情報を利用したルータ等の入力インタフェースにおけるフィルタリング処理により、送信元ＩＰアドレス詐称トラヒックの遮断を実現する。

ｕＲＰＦでは複数の方式が提案されている。たとえば、以下の１）〜５）などである。１）Ｉｎｇｒｅｓｓ Ａｃｃｅｓｓ Ｌｉｓｔ、２）Ｌｏｏｓｅ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ、３）Ｌｏｏｓｅ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ、ｉｇｎｏｒｉｎｇ Ｄｅｆａｕｌｔ Ｒｏｕｔｅｓ、４）Ｓｔｒｉｃｔ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ、５）Ｆｅａｓｉｂｌｅ Ｒｅｖｅｒｓｅ Ｐａｔｈ Ｆｏｒｗａｒｄｉｎｇ（例えば、特許文献１、非特許文献１、非特許文献２参照。）。

特開２００５−２２９６１４ ＩＥＴＦ ＲＦＣ３７０４ ＩＥＴＦ ＲＦＣ２２６７

上述のように、ｕＲＰＦによるイングレスフィルタリングは、ルータ等のＩＰネットワーク機器が保持している経路情報（ルーティングテーブル又はフォワーディングテーブル）を利用する。受信したＩＰパケットが正式な加入者から送出されたＩＰパケットであるか送信元のＩＰアドレスを詐称したＩＰパケットであるかの判断は、受信したＩＰパケットの送信元ＩＰアドレスが保持している経路情報に登録されているか否かで行う。例えば、経路情報に１９２．１６８．０／２４と１９２．１６８．１／２４の２つのみを保持している場合、受信したＩＰパケットの送信元ＩＰアドレスが１９２．１６８．０．１や１９２．１６８．１．１００であれば正式な加入者から送出されたＩＰパケットであると判断し、受信したＩＰパケットの送信元ＩＰアドレスが１９２．１６８．３．１や１７２．１８．１．１であれば送信元ＩＰアドレス詐称トラヒックと判断し、廃棄する。

ところで、一般にＩＰネットワーク機器は、経路情報として保持していない宛先ＩＰアドレスを有するＩＰパケットを受信した場合、そのＩＰパケットを廃棄する。ところが、インターネット上では、転送する可能性のある経路は無数にあり、全てを経路情報として保持することは不可能である。このため、ＩＰネットワーク機器は、全ての経路情報を網羅する特殊経路であるデフォルト・ルート（０．０．０．０／０で表現される。）を経路情報として保持することが多い。しかし、この場合、イングレスフィルタリングでは、全ての送信元ＩＰアドレスが登録されている経路情報に合致するため、全てのＩＰパケットが正式な加入者から送出されたＩＰパケットと判断され、送信元ＩＰアドレス詐称トラヒックを適切に遮断することができない。

また、上記のｕＲＰＦによるイングレスフィルタリングでは、受信したＩＰパケットの送信元ＩＰアドレスがルータ等のＩＰネットワーク機器の経路情報に登録されていない場合は、無条件にＩＰネットワーク機器内で廃棄する制御しかなく、柔軟な対応ができない。

本発明は上記事情に鑑みてなされたもので、ＩＰネットワーク機器の効率的な転送機能を確保しつつ、送信元を詐称した可能性のあるＩＰパケットに対して柔軟な制御を可能とするネットワークセキュリティ技術を提供することを目的とする。

ＩＰネットワーク装置間でルーティング情報を交換するためのメッセージに新たな付加情報を追加し、そこに配下の端末の認証したＩＰアドレス（認証ＩＰアドレス）とそのＩＰアドレスが詐称された場合の処理（詐称時処理）とを記述して隣接するＩＰネットワーク装置に送出する。受け取った側では、ネットワークアドレスとインタフェースに加え、認証ＩＰアドレスおよび詐称時処理を保持する。ＩＰパケットを受信した場合は、送信元ＩＰアドレスを抽出して、保持するインタフェースと認証されたＩＰアドレスとの組と照合し、正当性を判別する。正当と判別できない場合は、そのＩＰアドレスに対応づけて保持されている詐称時処理を行う。

具体的には、複数の端末を伝送路を介して収容し、予め保持するルーティング情報に従って、受信したＩＰパケットを転送するＩＰネットワーク装置であって、隣接する他のＩＰネットワーク装置毎に設けられ、隣接する他のＩＰネットワーク装置からＩＰパケットをそれぞれ受信するインタフェースと、前記インタフェースで受信したＩＰパケットの送信元ＩＰアドレスを抽出するＩＰアドレス抽出手段と、前記隣接する他のＩＰネットワーク装置が収容する端末のＩＰアドレスと、当該他のＩＰネットワーク装置からのＩＰパケットを受信する前記インタフェースを特定する情報と、当該ＩＰアドレスが送信元ＩＰアドレスとして詐称された場合の処理である詐称時処理とを対応づけて保持する認証情報記憶手段と、前記ＩＰパケットを受信したインタフェースと、前記ＩＰアドレス抽出手段が抽出した当該ＩＰパケットの送信元ＩＰアドレスとが前記認証情報記憶手段に対応づけて保持されている場合、正当なＩＰパケットと判別する送信元ＩＰアドレス詐称監視処理手段と、前記送信元ＩＰアドレス詐称監視処理手段において正当なＩＰパケットと判別された場合、ルーティング処理を行い、正当なＩＰパケットと判別されなかった場合、前記ＩＰアドレス抽出手段が抽出した送信元ＩＰアドレスに対応づけて前記認証情報記憶手段に保持される前記詐称時処理を行うルーティング処理手段と、を備えることを特徴とするＩＰネットワーク装置を提供する。

本発明によれば、ＩＰネットワーク機器の効率的な転送機能を確保しつつ、送信元を詐称した可能性のあるＩＰパケットに対して柔軟な制御を可能とするネットワークセキュリティ技術を提供できる。

以下に、本発明を適用した実施の形態を説明する。

図１は、本実施形態のＩＰネットワークシステムのシステム構成図である。本図に示すように、本実施形態のＩＰネットワークシステムは、外部ネットワーク１００と、外部ネットワーク１００に接続する複数のルータやＬＡＮ−ＳＷ等のＩＰネットワーク装置２００ａ、２００ｂ、２００ｃと、ＩＰネットワーク装置２００ａ、２００ｂ、２００ｃにそれぞれ接続する端末４００ａ１、４００ａ２、４００ｂ１、４００ｃ１、４００ｃ２と、不正侵入検知機器５００と、ネットワーク装置２００ａ、２００ｂ、２００ｃと端末４００ａ１、４００ａ２、４００ｂ１、４００ｃ１、４００ｃ２との間の伝送路６００ａ、６００ｂ、６００ｃとから構成される。

以下、特に区別する必要がない場合は、それぞれ、ＩＰネットワーク装置２００、端末４００、伝送路６００で代表する。また、ＩＰネットワーク装置２００、端末４００、不正侵入検知機器５００の台数は、問わない。

本実施形態のＩＰネットワーク装置２００の動作の概要は以下の通りである。ＩＰネットワーク装置２００ａは、自装置の配下に端末４００ａ１が接続された場合若しくは明示的に収容する端末４００ａ１を定義した場合、隣接するＩＰネットワーク装置２００ｃ、２００ｂに自装置の配下のＩＰサブネットワーク・アドレスに関する経路情報を、ＢＧＰ（Ｂｏｒｄｅｒ Ｇａｔｅｗａｙ Ｐｒｏｔｏｃｏｌ）のＵＰＤＡＴＥメッセージを送信することにより広告する。その際、自装置配下で正式な加入者として認証した端末４００ａ１のホストアドレス情報（ＩＰアドレス）［１９２．１６８．０．２５０］、および、送信元ＩＰアドレスを［１９２．１６８．０．２５０］と詐称したＩＰパケットを受信した場合の処理方法を経路情報に付加して送信する（１ａ）。

経路情報を受信したＩＰネットワーク装置２００ｃは、隣接する他のＩＰネットワーク装置２００ｂから、送信元ＩＰアドレス１９２．１６８．０．２５０のＩＰパケットを、ＩＰネットワーク装置２００ｂからのＩＰパケットを受け取るポートとして登録してあるＩ／Ｆ＝Ｂを介して受信した場合は（１ｂ）、送信元アドレス詐称疑惑のＩＰパケットとして判定し、ＩＰネットワーク装置２００ａから受信した経路情報の付加情報に記述されている処理方法に従って当該ＩＰパケットを処理する（１ｃ）。

次に、上記制御を実現する本実施形態のＩＰネットワーク装置２００について説明する。図２は、本実施形態のＩＰネットワーク装置２００の機能構成図である。

本図に示すように、本実施形態のＩＰネットワーク装置２００は、インタフェースモジュール部２０１Ａとインタフェースモジュール部２０１Ｂと、ＩＰアドレス抽出部２０２と、送信元ＩＰアドレス詐称監視処理部２０３と、認証情報記憶部２０４と、ルーティング処理部２０５と、フォワーディングテーブル格納部２０６と、ルーティングテーブル格納部２０７と、構成定義処理部２０８と、を備える。なお、インタフェースモジュール部の数はこれに限られない。また、特に区別する必要がない場合は、インタフェースモジュール部２０１Ａとインタフェースモジュール部２０１Ｂとをインタフェースモジュール部２０１で代表する。

インタフェースモジュール部２０１は、ＩＰネットワーク装置２００と外部ネットワーク１００または伝送路６００とのインタフェースである。

ＩＰアドレス抽出部２０２は、インタフェースモジュール部２０１を介して受け取ったＩＰパケットから送信元ＩＰアドレスおよび宛先ＩＰアドレスを抽出する。抽出したＩＰアドレスのうち、送信元ＩＰアドレスは、送信元ＩＰアドレス詐称監視処理部２０３に受け渡す。このとき、このＩＰパケットを受信したインタフェースモジュール部２０１を特定する情報もともに受け渡す。宛先ＩＰアドレスは、ルーティング処理部２０５、フォワーディングテーブル格納部２０６に受け渡す。

送信元ＩＰアドレス詐称監視処理部２０３は、ＩＰアドレス抽出部２０２から受け取った送信元ＩＰアドレスが詐称されたものであるか否かを判別し、ＩＰネットワーク装置２００が受信したＩＰパケットの処理を決定する。判別は、後述する認証情報記憶部２０４に登録されている情報に基づいて行う。詳細は後述する。

ルーティング処理部２０５は、送信元ＩＰアドレス詐称処理部２０３の決定に従って、受信したＩＰパケットをネクストホップに転送する等の処理を行う。ネクストホップは、ルーティングテーブル格納部２０７またはフォワーディングテーブル格納部２０６に格納されている、ルーティングテーブルまたはフォワーディングテーブルを参照して行う。

ルーティングテーブル格納部２０７およびフォワーディングテーブル格納部２０６は、それぞれ、従来のＩＰネットワーク装置が保持するルーティングテーブルとフォワーディングテーブルとを格納する。

構成定義処理部２０８は、自装置配下の端末４００の情報を収集し、構成定義情報を更新するとともに、ＵＰＤＡＴＥメッセージを生成し、自装置配下の端末４００のＩＰアドレス（以下、認証ＩＰアドレスと呼ぶ。）と、そのＩＰアドレスが詐称された疑惑がある場合の処理方法（以下、詐称時処理と呼ぶ。）と、を隣接するＩＰネットワーク装置２００へ送信する。また、隣接するＩＰネットワーク装置２００からＵＰＤＡＴＥメッセージを受信すると、受信したインタフェースと、ＵＰＤＡＴＥメッセージに含まれる認証ＩＰアドレスと詐称時処理とを認証情報記憶部２０４に登録する。

なお、本実施形態においては、構成定義処理部２０８は、配下の端末４００のＩＰアドレスを、管理者などから登録を受け付けることにより取得する。これは、自動的に収集するよう構成してもよい。また、詐称時処理は、管理者などから登録を受け付けることにより取得する。

認証情報記憶部２０４には、受信したＩＰパケットの正当性を認証するための情報が格納される認証ＩＰアドレステーブル２０４０を備える。認証ＩＰアドレステーブル２０４０は、上述の構成定義処理部２０８により生成される。図３は、本実施形態の認証ＩＰアドレステーブル２０４０の一例である。

本図に示すように、本実施形態の認証ＩＰアドレステーブル２０４０は、広告される経路情報ＢＧＰのＵＰＤＡＴＥメッセージのＮＬＲＩ（Ｎｅｔｗｏｒｋ Ｌａｙｅｒ Ｒｅａｃｈａｂｉｌｉｔｙ Ｉｎｆｏｒｍａｔｉｏｎ）フィールドに記載されているＩＰサブネットワーク・アドレスの情報）であるＳｏｕｒｃｅ Ｎｅｔｗｏｒｋ７ａと、ＵＰＤＡＴＥメッセージを受信したインタフェースであるＩｎｇｒｅｓｓ Ｉ／Ｆ７ｂと、認証ＩＰアドレス７ｃと、詐称時処理７ｄとが登録される。

以上のＩＰネットワーク装置２００は、例えば、ＣＰＵ、ＲＯＭ、フラッシュメモリ、ＲＡＭ等から構成され、ＣＰＵがＲＯＭに格納されたプログラムをＲＡＭ上に展開して実行することにより、上記各機能を実現する。また、認証ＩＰアドレステーブル２０４０、ルーティングテーブル、フォワーディングテーブルは、ＲＡＭ上に格納される。

次に、構成定義処理部２０８が、この認証ＩＰアドレスと詐称時処理とを送信する手法について説明する。

本実施形態のＩＰネットワークシステムが採用しているＢＧＰは、インターネット上で異なるサービスプロバイダ間の相互接続時にお互いの経路情報をやり取りするために使われる経路制御プロトコルである。このＢＧＰでは、隣接するＩＰネットワーク装置２００に経路情報を広告する際にＵＰＤＡＴＥメッセージが用いられる。このＵＰＤＡＴＥメッセージにはＰａｔｈ Ａｔｔｒｉｂｕｔｅと呼ばれるフィールドを用いて付加情報を添付することができる。本実施形態では、このＰａｔｈ Ａｔｔｒｉｂｕｔｅフィールドを用いて、認証ＩＰアドレスおよび詐称時処理を隣接するＩＰネットワーク装置２００へ送信する。

まず、Ｐａｔｈ Ａｔｔｒｉｂｕｔｅフィールドのフォーマットについて説明する。図４は、一般的なＰａｔｈ Ａｔｔｒｉｂｕｔｅフィールドのフォーマットを説明するための図である。

本図に示すように、Ｐａｔｈ Ａｔｔｒｉｂｕｔｅフィールドは、Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ４ａと、Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｌｅｎｇｔｈ４ｄと、複数のＰａｔｈ Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ４ｅとを備える。

Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ４ａは、Ａｔｔｒｉｂｕｔｅ Ｆｌａｇｓ４ｂと、Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃとを備える。Ａｔｔｒｉｂｕｔｅ Ｆｌａｇｓ４ｂの各ビットは、当該Ｐａｔｈ Ａｔｔｒｉｂｕｔｅの属性（Ｗｅｌｌ ＫｎｏｗｎかＯｐｔｉｏｎａｌ）および他のＩＰネットワーク装置２００との間での伝達性（必ず転送を行う、必要であれば転送を行う等）を示す情報である。Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃは当該Ｐａｔｈ Ａｔｔｒｉｂｕｔｅの種類を明示する情報である。

本実施形態では、このＰａｔｈ Ａｔｔｒｉｂｕｔｅフィールドにおいて、新たなＡｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃとＰａｔｈ Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ４ｅとを定義し、認証ＩＰアドレスおよび詐称時処理との通知に用いる。

次に、本実施形態において、構成定義処理部２０８が、認証ＩＰアドレスを隣接するＩＰネットワーク装置２００へ通知する際に用いるＰａｔｈ Ａｔｔｒｉｂｕｔｅフィールドについて説明する。本実施形態では、認証ＩＰアドレスを通知するためのこのＰａｔｈ Ａｔｔｒｉｂｕｔｅを、認証Ａｔｔｒｉｂｕｔｅと呼ぶ。

図５は、本実施形態の認証Ａｔｔｒｉｂｕｔｅフィールドを説明するための図である。

認証Ａｔｔｒｉｂｕｔｅでは、Ａｔｔｒｉｂｕｔｅ Ｆｌａｇｓ４ｂのビット０に『１＝Ｏｐｔｉｏｎａｌ』（５ａ）、ビット１に『１＝Ｔｒａｎｓｉｔｉｖｅ』（５ｂ）、ビット２に『０＝Ｐａｒｔｉａｌ』（５ｃ）、ビット３に『０＝Ａｔｔｒｉｂｕｔｅ Ｌｅｎｇｔｈが１オクテット』（５ｄ）を記述する。そして、Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃとして新たなＣｏｄｅ＝１２８を割り当てる（５ｅ）。

すなわち、構成定義処理部２０８は、認証Ａｔｔｒｉｂｕｔｅを生成する場合、Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃに１２８と記述する。一方、Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃに１２８と記述されたＰａｔｈ Ａｔｔｒｉｂｕｔｅを受け取ると、それを認証Ａｔｔｉｒｒｉｂｕｔｅと判別する。

Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｌｅｎｇｔｈ４ｄにＩＰホストアドレス（認証ＩＰアドレス）格納に必要な４オクテット（３２ビット）を記述し（５ｆ）、Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ４ｅに認証ＩＰアドレスを記述する（５ｇ）。

次に、構成定義処理部２０８が、詐称時処理を隣接するＩＰネットワーク装置２００へ通知する際に用いるＰａｔｈ Ａｔｔｒｉｂｕｔｅフィールドについて説明する。本実施形態では、詐称時処理を通知するためのＰａｔｈ Ａｔｔｒｉｂｕｔｅを、制御Ａｔｔｒｉｂｕｔｅと呼ぶ。

図６は、本実施形態の制御Ａｔｔｒｉｂｕｔｅフィールドを説明するための図である。

制御Ａｔｔｒｉｂｕｔｅでは、Ａｔｔｒｉｂｕｔｅ Ｆｌａｇｓのビット０に『１＝Ｏｐｔｉｏｎａｌ』（６ａ）、ビット１に『１＝Ｔｒａｎｓｉｔｉｖｅ』（６ｂ）、ビット２に『０＝Ｐａｒｔｉａｌ』（６ｃ）、ビット３に『０＝Ａｔｔｒｉｂｕｔｅ Ｌｅｎｇｔｈが１オクテット』（６ｄ）を記述する。そして、Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅとして新たなＣｏｄｅ＝１９２を割り当てる（６ｅ）。

すなわち、構成定義処理部２０８は、制御Ａｔｔｒｉｂｕｔｅを生成する場合、Ａｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅとして１９２を記述する。一方、ｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅに１９２と記述されたＰａｔｈ Ａｔｔｒｉｂｕｔｅを受け取ると、それを制御Ａｔｔｉｒｒｉｂｕｔｅと判別する。

Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｌｅｎｇｔｈ４ｄに詐称時処理の処理方法を示す制御パターンを格納するために必要な１オクテット（８ビット）を記述し（６ｆ）、Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅに制御パターンを記述する（６ｇ、６ｈ、６ｉ）。

記述される制御パターンには、ＩＤＳ（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ）などの不正侵入検知装置５００に転送する「Ｔｏ ＩＤＳ」、廃棄する「Ｄｒｏｐ」、そのまま送信する「Ｆｏｒｗａｒｄ」がある。本実施形態では、それぞれ、例えば、「Ｔｏ ＩＤＳ」をコード００００、「Ｄｒｏｐ」をコード１１１１、「Ｆｏｒｗａｒｄ」をコード１０００など、それぞれの処理について予め定めたコードを記述する。

なお、不正進入検知装置５００では、受け取ったＩＰパケットを解析し、解析結果に応じて特定のポートを遮断するなどの対処を行うことができる。

以上の認証Ａｔｔｒｉｂｕｔｅおよび制御Ａｔｔｒｉｂｕｔｅを用いて、構成定義処理部２０８は、自装置の配下に新たに端末４００が接続された場合、そのＩＰアドレス（認証ＩＰアドレス）と詐称時処理とを隣接するＩＰネットワーク装置２００へＵＰＤＡＴＥメッセージにより広告する。そして、隣接するＩＰネットワーク装置２００から認証ＩＰアドレスと詐称時処理とを受信すると、認証ＩＰアドレステーブル２０４０に登録する。図７は、構成定義処理部２０８が認証情報の広告および登録を行い認証ＩＰアドレステーブル２０４０を生成する処理である認証情報生成処理の処理シーケンスである。ここでは、ＩＰネットワーク装置２００ａからＩＰネットワーク装置２００ｃにＵＰＤＡＴＥメッセージを送る場合を例にあげて説明する。なお、以下において、ＩＰネットワーク装置２００ａの構成定義処理部を構成定義処理部２０８ａ、ＩＰネットワーク装置２００ｃの構成定義処理部を構成定義処理部２０８ｃと呼ぶ。

本図に示すように、構成定義処理部２０８ａは、新たに端末４００が自装置の配下に接続された場合、管理者などから新たに端末４００のＩＰアドレス（認証ＩＰアドレス）および詐称時処理の入力を受け付けると（ステップ９０１）、受け付けた認証ＩＰアドレスと詐称時処理とを用いてそれぞれ認証Ａｔｔｒｉｂｕｔｅと制御Ａｔｔｒｉｂｕｔｅとを生成し、それらを付加したＵＰＤＡＴＥメッセージを生成する（ステップ９０２）。そして、生成したＵＰＤＡＴＥメッセージを広告する（ステップ９０３）。

ＩＰネットワーク装置２００ｃの構成定義処理部２０８ｃは、ＵＰＤＡＴＥメッセージをＩＰネットワーク装置２００ａから受信する。

構成定義処理部２０８ｃは、ＵＰＤＡＴＥメッセージのＮＬＲＩフィールドに記述されているＩＰサブネットワーク・アドレス情報を、認証ＩＰアドレステーブル２０４０のＳｏｕｒｃｅ Ｎｅｔｗｏｒｋ７ａとして、ＵＰＤＡＴＥメッセージを受信したインタフェースをＩｎｇｒｅｓｓ Ｉ／Ｆ７ｂとして登録する（ステップ９０４）。

そして、構成定義処理部２０８ｃは、ＵＰＤＡＴＥメッセージに添付されている付加情報（Ｐａｔｈ Ａｔｔｒｉｂｕｔｅ）の種別を、そのＡｔｔｒｉｂｕｔｅ Ｔｙｐｅ Ｃｏｄｅ４ｃに記述されている情報により判別する。認証Ａｔｔｒｉｂｕｔｅと判別したＰａｔｈ ＡｔｔｒｉｂｕｔｅのＰａｔｈ Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ４ｅから認証ＩＰアドレス５ｇを抽出し、制御Ａｔｔｒｉｂｕｔｅと判別したＰａｔｈ ＡｔｔｒｉｂｕｔｅのＰａｔｈ Ａｔｔｒｉｂｕｔｅ Ｖａｌｕｅ４ｅから詐称時処理６ｇを抽出する。そして、抽出した認証ＩＰアドレス５ｇおよび詐称時処理６を、それぞれ、認証ＩＰアドレステーブル２０４０の認証ＩＰアドレス７ｃおよび詐称時処理７ｄとして登録する（ステップ９０５）。

以上の手順により、本実施形態の構成情報処理部２０８は、認証情報記憶部２０４に認証ＩＰアドレステーブル２０４０を生成する。

次に、ＩＰネットワーク装置２００内で、インタフェースモジュール２０１を介してＩＰパケットを受け取った場合の転送処理について説明する。図８は、本実施形態の転送処理の処理フローである。

ＩＰアドレス抽出部２０２は、インタフェースモジュール部２０１を介して受信したＩＰパケットから送信元ＩＰアドレスを抽出し、受信したインタフェースモジュール部２０１を特定する情報とともに送信元ＩＰアドレス詐称監視処理部２０３に受け渡す（ステップ８０１）。

送信元ＩＰアドレス詐称監視処理部２０３は送信元ＩＰアドレスの正当性を判定する（ステップ８０２）。ここでは、送信元ＩＰアドレス詐称監視処理部２０３は、認証情報記憶部２０４の認証ＩＰアドレステーブル２０４０を参照し、受信したＩＰパケットを受け取ったインタフェースが、送信元ＩＰアドレスに合致する認証ＩＰアドレス７ｃに対応づけて登録されているＩｎｇｒｅｓｓ Ｉ/Ｆ７ｂに合致するかを判断する。合致する場合、送信元ＩＰアドレス査証監視処理部２０３は、正式な加入者からのＩＰパケットである（正当である）と判定し、ＩＰアドレス抽出部２０２に通知する。

通知を受けたＩＰアドレス抽出部２０２は、受信したＩＰパケットから宛先ＩＰアドレスを抽出し、フォワーディングテーブル格納部２０６を参照し、出力インタフェースを検索する（ステップ８０３）。そしてルーティング処理部２０５は、ＩＰアドレス抽出部２０２が検索した出力インタフェースからＩＰパケットを転送する（ステップ８０４）。

一方、合致しない場合は、送信元ＩＰアドレス詐称監視処理部２０３は、詐称疑惑ありと判断し、送信元ＩＰアドレスに合致する認証ＩＰアドレス７ｃに対応づけて登録されている詐称時処理７ｄとともに、その旨をＩＰアドレス抽出部２０２に通知し、通知を受けたＩＰアドレス抽出部２０２は、ルーティング処理部２０５に制御方法を通知する（ステップ８０５）。ルーティング処理部２０５は、受け取った制御方法に従って受信したＩＰパケットを処理する（ステップ８０６）。

次に、図１のネットワークを用いて、本実施形態のＩＰネットワークシステム内でのＩＰパケットの送受信等の処理の様子を説明する。図１のネットワークでは、ＩＰネットワーク装置２００ａの配下に認証ＩＰアドレス〔１９２．１６８．０．２５０〕を有する端末４００ａ１が接続され、ＩＰネットワーク装置２００ｂの配下には、ＩＰアドレス〔１９２．１６８．１．２５０〕端末４００ｂ１が接続され、ＩＰネットワーク装置２００ｃの配下には、ＩＰアドレス〔１９２．１６８．２．２５０〕を有する端末４００ｃ１が接続される。

図９は、本実施形態のＩＰネットワークシステムでの処理シーケンスである。ここでは、ＩＰネットワーク装置２００ｃにおける処理を代表して説明する。ＩＰネットワーク装置２００ｃの認証ＩＰアドレステーブル２０４０に、端末４００ａ１の認証ＩＰアドレスが登録されているものとする。また、ＩＰネットワーク装置２００ｃにおいて、ＩＰネットワーク装置２００ａからのＩＰパケットはインタフェースモジュール部２０１Ａで受信し、ＩＰネットワーク装置２００ｂからのＩＰパケットはインタフェースモジュール部２０１Ｂで受信するものとする。

ＩＰネットワーク装置２００ａの配下の端末４００ａ１が、送信元ＩＰアドレスを１９２．１６８．０．２５０、宛先ＩＰアドレスを１９２．１６８．２．２５０としたＩＰパケットＡを送出すると（ステップ３１１、図１の１ａ）、ＩＰネットワーク装置２００ｃは、ＩＰネットワーク装置２００ａを介してインタフェースモジュール部２０１ＡからＩＰパケットＡを受信する。

ＩＰネットワーク装置２００ｃは、送信元の正当性を図８のステップ８０２の方法で判別する（ステップ３１２）。ここでは、正当と判別され、受信したＩＰパケットを宛先のアドレスを有する端末４００ｃ１に転送する（ステップ３１３、図１の１ｃ）。

一方、ＩＰネットワーク装置２００ｂの配下の端末４００ｂ１が送信元ＩＰアドレスを１９２．１６８．０．２５０と詐称したＩＰパケットＢを送出すると（ステップ３２１、図１の１ｂ）、ＩＰネットワーク装置２００ｃは、ＩＰネットワーク装置２００ｂを介してインタフェースモジュール部２０１ＢからＩＰパケットＢを受信する。

ＩＰネットワーク装置２００ｃは、送信元の正当性を図８のステップ８０２の方法で判別する（ステップ３２２）。ここでは、詐称疑惑ありと判別され、ＩＰパケットＢに対し、送信元ＩＰアドレスとして詐称されたＩＰアドレス１９２．１６８．０．２５０に対応づけて認証ＩＰアドレステーブルに登録されている詐称時処理７ｄの処理を行う（ステップ３２３）。

次に、本実施形態のＩＰネットワーク装置２００は、経路情報としてデフォルト・ルートを保持している場合であっても、送信元ＩＰアドレス詐称トラヒックを適切に遮断可能な例を説明する。

ここでは、ＩＰネットワーク装置２００の配下の端末４００が、正規のＩＰアドレスとして〔１９２．１６８．０．２５０／０〕を与えられているものとする。また、ＩＰネットワーク装置２００は、隣接するＩＰネットワーク装置２００に、デフォルト・ルート〔０．０．０．０／０〕を広告するものとする。

先に、従来技術での制御を説明する。図１０は、従来のＩＰネットワーク装置１２００による制御を説明するための図である。従来のＩＰネットワーク装置を、それぞれ、ＩＰネットワーク装置１２００ａ、ＩＰネットワーク装置１２００ｃとする。

端末４００が配下に接続されると、ＩＰネットワーク装置１２００ａは、隣接するＩＰネットワーク装置１２００ｃに、ＵＰＤＡＴＥメッセージを用いて経路を広告する。ここでは、経路情報としてデフォルト・ルート〔０．０．０．０／０〕、ネクストホップ（Ｎｅｘｔ Ｈｏｐ）としてＣを広告する（１００１）。

デフォルト・ルートの広告をインタフェースモジュール部Ａを介して受信したＩＰネットワーク装置１２００ｃでは、ルーティングテーブルのＤｅｓｉｔｉｎａｔｉｏｎにデフォルト・ルートを、出力Ｉ/Ｆに、受信したインタフェースであるインタフェースＡを登録する（１００２）。

ここで、端末４００がＩＰアドレスを、〔１９２．１６８．１．２５０／０〕として詐称してＩＰパケットを送出した場合、ＩＰネットワーク装置１２００ｃでは、送信元ＩＰアドレスとして、〔１９２．１６８．１．２５０／０〕が抽出され、ルーティングテーブルに本ＩＰアドレスが存在するか否か判断される。ここでは、デフォルト・ルートが登録されているため、存在するものと判断されることとなる。

このように、従来技術のＩＰネットワーク装置１２００ｃでは、送信元ＩＰアドレス詐称トラヒックであっても、正当なＩＰパケットとして処理される。

次に、本実施形態のＩＰネットワーク装置２００の場合の例を説明する。図１１は、本実施形態ＩＰネットワーク装置２００による制御を説明するための図である。

端末４００が配下に接続されると、本実施形態のＩＰネットワーク装置２００は、隣接するＩＰネットワーク装置２００ｃに、ＵＰＤＡＴＥメッセージおよびその付加情報を用いて、経路情報（デフォルト・ルート）、ネクストホップ（Ｃ）、端末４００ａに割り当てられた正規のＩＰアドレス、および、当該ＩＰアドレスが詐称された場合の処理（不図示）を通知する（１１１１）。

以上の情報をインタフェースモジュール部２０１Ｂを介して受信したＩＰネットワーク装置２００ｃは、認証ＩＰアドレステーブルの、Ｓｏｕｒｃｅ Ｎｅｔｗｏｒｋ７ａに、デフォルト・ルートを、Ｉｎｇｒｅｓｓ Ｉ／Ｆ７ｂに、受信したインタフェースモジュール部２０１Ｂを特定する情報であるＢを、認証ＩＰアドレス７ｃに、受信した端末４００の正規のＩＰアドレスである〔１９２．１６８．０．２５０／０〕を、詐称時処理７ｄに受信した詐称時処理（不図示）を、それぞれ登録する（１１１２）。

ここで、端末４００がＩＰアドレスを、〔１９２．１６８．１．２５０／０〕として詐称してＩＰパケットを送出した場合、インタフェースモジュール部２０１Ｂを介して当該ＩＰパケットを受信したＩＰネットワーク装置２００ｃは、送信元ＩＰアドレスである〔１９２．１６８．１．２５０／０〕およびインタフェースモジュール部２０１Ｂの組み合わせのデータが、認証ＩＰアドレステーブル２０４０の認証ＩＰアドレス７ｃおよびＩｎｇｒｅｓｓ Ｉ／Ｆ７ｂに存在するか否かを判別する。ここでは、存在しないため、受信したＩＰパケットを、送信元ＩＰアドレス詐称トラヒックと判断する。そして、ＩＰネットワーク装置２００ｃは、詐称されたＩＰアドレス〔１９２．１６８．１．２５０／０〕に対応づけて登録されている詐称時処理７ｄを行う。

以上説明したように、本実施形態のＩＰネットワーク装置２００による送信元ＩＰアドレス詐称トラヒックの制御技術によれば、従来のイングレスフィルタリングでは判別できなかった送信元ＩＰアドレスを詐称している疑惑のあるパケット（送信元ＩＰアドレス詐称トラヒック）まで判別することができる。さらに、判別した送信元ＩＰアドレス詐称トラヒックに対し、予め認証情報記憶部２０４に登録されている処理（詐称時処理）を行うことができる。そして、この詐称時処理は、管理者によって所望の処理を設定することができる。従って、送信元ＩＰアドレス詐称トラヒックに対し、柔軟な制御が可能となる。

このように本実施形態では、廃棄だけでなく、不正進入検知装置に送信元ＩＰアドレス詐称疑惑パケットを転送するなどの処理ができるため、送信元ＩＰアドレス詐称疑惑パケットを解析し状況に応じた対処を行うことも可能となる。従って、ＩＰネットワーク機器の効率的な転送機能を維持しつつ、送信元ＩＰアドレス詐称疑惑パケットによるＤｏｓ攻撃、ＤＤｏＳ攻撃を効果的に防御することができる。

また、インターネット上で一般に用いられている既存のＢＧＰに則り、認証ＩＰアドレスおよび詐称時処理を広告する構成をとっているため、多種多様のＩＰネットワーク間で、本実施形態の送信元ＩＰアドレス詐称トラヒック制御技術を、簡易な構成で実現することができる。

本実施形態のＩＰネットワークシステムのシステム構成図である。 本実施形態のＩＰネットワーク装置の機能構成図である。 本実施形態の認証ＩＰアドレステーブル２０４０一例を示す図である。 Ｐａｔｈ Ａｔｔｒｉｂｕｔｅフィールドのフォーマットを説明するための図である。 本実施形態の認証Ａｔｔｒｉｂｕｔｅフィールドを説明するための図である。 本実施形態の制御Ａｔｔｒｉｂｕｔｅフィールドを説明するための図である。 本実施形態の認証情報生成処理の処理シーケンスである。 本実施形態の転送処理の処理フローである。 本実施形態のＩＰネットワークシステムでの処理シーケンスである。 従来のＩＰネットワーク装置による制御を説明するための図である。 本実施形態のＩＰネットワーク装置による制御を説明するための図である。

符号の説明

１００：外部ネットワーク、２００ａ：ＩＰネットワーク装置、２００ｂ：ＩＰネットワーク装置、２００ｃ：ＩＰネットワーク装置、４００ａ１：端末、４００ａ２：端末、４００ｂ１：端末、４００ｃ１：端末、４００ｃ２：端末、５００：不正侵入検知装置、６００ａ：伝送路、６００ｂ：伝送路、６００ｃ：伝送路、２００：ＩＰネットワーク装置、２０１Ａ：インタフェースモジュール部、２０１Ｂ：インタフェースモジュール部、２０２：ＩＰアドレス抽出部、２０３：送信元ＩＰ詐称監視処理部、２０４：認証情報記憶部、２０５：ルーティング処理部、２０６：フォワーディングテーブル格納部、２０７：ルーティングテーブル格納部、２０８：構成定義処理部

Claims (7)

1. 複数の端末を伝送路を介して収容し、予め保持するルーティング情報に従って、受信したＩＰパケットを転送するＩＰネットワーク装置であって、
   隣接する他のＩＰネットワーク装置毎に設けられ、隣接する他のＩＰネットワーク装置からＩＰパケットをそれぞれ受信するインタフェースと、
   前記インタフェースで受信したＩＰパケットの送信元ＩＰアドレスを抽出するＩＰアドレス抽出手段と、
   前記隣接する他のＩＰネットワーク装置が収容する端末のＩＰアドレスと、当該他のＩＰネットワーク装置からのＩＰパケットを受信する前記インタフェースを特定する情報と、当該ＩＰアドレスが送信元ＩＰアドレスとして詐称された場合の処理である詐称時処理とを対応づけて保持する認証情報記憶手段と、
   前記ＩＰパケットを受信したインタフェースと、前記ＩＰアドレス抽出手段が抽出した当該ＩＰパケットの送信元ＩＰアドレスとが前記認証情報記憶手段に対応づけて保持されている場合、正当なＩＰパケットと判別する送信元ＩＰアドレス詐称監視処理手段と、
   前記送信元ＩＰアドレス詐称監視処理手段において正当なＩＰパケットと判別された場合、ルーティング処理を行い、正当なＩＰパケットと判別されなかった場合、前記ＩＰアドレス抽出手段が抽出した送信元ＩＰアドレスに対応づけて前記認証情報記憶手段に保持される前記詐称時処理を行うルーティング処理手段と、を備えること
   を特徴とするＩＰネットワーク装置。
2. 請求項１記載のＩＰネットワーク装置であって、
   自身が収容する端末のＩＰアドレスと、当該ＩＰアドレスが詐称された場合の前記詐称時処理をメッセージの付加情報として生成し、隣接する他のＩＰネットワーク装置に送信するとともに、隣接する他のＩＰネットワーク装置から前記付加情報を受け取ると、受信したインタフェースに対応づけて、前記付加情報に含まれるＩＰアドレスと詐称時処理とを前記認証情報記憶部に保持する構成定義処理手段をさらに備えること
   を特徴とするＩＰネットワーク装置。
3. 請求項２記載のＩＰネットワーク装置であって、
   前記付加情報は、ＵＰＤＡＴＥメッセージのＰａｔｈ Ａｔｔｒｉｂｕｔｅフィールドを用い、前記ＩＰアドレスおよび前記詐称時処理それぞれについてについてそれぞれ生成すること
   を特徴とするＩＰネットワーク装置。
4. 請求項１から３いずれか１項記載のＩＰネットワーク装置であって、
   前記詐称時処理には、当該ＩＰパケットの廃棄、当該ＩＰパケットの転送、当該ＩＰパケットを解析する、の各処理を含むこと
   を特徴とするＩＰネットワーク装置。
5. 複数の端末を伝送路を介して収容し、予め保持するルーティング情報に従って、受信したＩＰパケットを転送するＩＰネットワーク装置を複数有するＩＰネットワークシステムであって、
   前記ＩＰネットワーク装置それぞれは、
   隣接する他の前記ＩＰネットワーク装置毎に設けられ、隣接する他のＩＰネットワーク装置からＩＰパケットをそれぞれ受信するインタフェースと、
   前記インタフェースで受信したＩＰパケットの送信元ＩＰアドレスを抽出するＩＰアドレス抽出手段と、
   前記隣接する他のＩＰネットワーク装置が収容する端末のＩＰアドレスと、当該他のＩＰネットワーク装置からのＩＰパケットを受信する前記インタフェースを特定する情報と、当該ＩＰアドレスが詐称された場合の処理である詐称時処理とを対応づけて保持する認証情報記憶手段と、
   前記ＩＰパケットを受信したインタフェースと、前記ＩＰアドレス抽出手段が抽出した当該ＩＰパケットの送信元ＩＰアドレスとが前記認証情報記憶手段に対応づけて保持されている場合、正当なＩＰパケットと判別する送信元ＩＰアドレス詐称監視処理手段と、
   前記送信元ＩＰアドレス詐称監視処理手段において正当なＩＰパケットと判別された場合、ルーティング処理を行い、正当なＩＰパケットと判別されなかった場合、前記ＩＰアドレス抽出手段が抽出した送信元ＩＰアドレスに対応づけて前記認証情報記憶手段に保持される前記詐称時処理を行うルーティング処理手段と、を備えること
   を特徴とするＩＰネットワークシステム。
6. 複数の端末を伝送路を介して収容し、予め保持するルーティング情報に従って、受信したＩＰパケットを転送するＩＰネットワーク装置による送信元ＩＰアドレス詐称ＩＰパケット制御方法であって、
   隣接する他のＩＰネットワーク装置毎に予め設定されているインタフェースを介して当該隣接する他のＩＰネットワーク装置からＩＰパケットを受信するＩＰパケット受信ステップと、
   前記受信したＩＰパケットから送信元ＩＰアドレスを抽出するＩＰアドレス抽出ステップと、
   前記受信したＩＰパケットの送信元ＩＰアドレスの正当性を判別する正当性判別ステップと、
   前記正当性判別ステップで送信元ＩＰアドレスが正当と判別されたＩＰパケットを転送するとともに、正当と判別されなかったＩＰパケットに対し、前記送信元ＩＰアドレスが詐称された場合に行う処理として予め定めた処理を行う転送ステップと、を備え、
   前記正当性判別ステップは、
   予め保持する認証情報に、前記ＩＰパケットを受信したインタフェースと、前記抽出した送信元ＩＰアドレスとが、対応づけて登録されている場合、前記受信したＩＰパケットの送信元ＩＰアドレスを正当と判別すること
   を特徴とする送信元ＩＰアドレス詐称ＩＰパケット制御方法。
7. コンピュータを、
   隣接する他のＩＰネットワーク装置毎に設けられ、隣接する他のＩＰネットワーク装置からＩＰパケットをそれぞれ受信するインタフェースと、
   前記インタフェースで受信したＩＰパケットの送信元ＩＰアドレスを抽出するＩＰアドレス抽出手段と、
   前記隣接する他のＩＰネットワーク装置が収容する端末のＩＰアドレスと、当該他のＩＰネットワーク装置からのＩＰパケットを受信する前記インタフェースを特定する情報と、当該ＩＰアドレスが送信元ＩＰアドレスとして詐称された場合の処理である詐称時処理とを対応づけて保持する認証情報記憶手段と、
   前記ＩＰパケットを受信したインタフェースと、前記ＩＰアドレス抽出手段が抽出した当該ＩＰパケットの送信元ＩＰアドレスとが前記認証情報記憶手段に対応づけて保持されている場合、正当なＩＰパケットと判別する送信元ＩＰアドレス詐称監視処理手段と、
   前記送信元ＩＰアドレス詐称監視処理手段において正当なＩＰパケットと判別された場合、ルーティング処理を行い、正当なＩＰパケットと判別されなかった場合、前記ＩＰアドレス抽出手段が抽出した送信元ＩＰアドレスに対応づけて前記認証情報記憶手段に保持される前記詐称時処理を行うルーティング処理手段と、して機能させるためのプログラム。

Images